CVE-2026-13605 in PhotoSwipe Plugin
Sumário
de VulDB • 29/07/2026
O plugin WordPress PhotoSwipe até a versão 4.1.1.1 utiliza o atributo title da marcação de links fornecida pelo autor como legenda para lightbox, que é inserido no DOM da página sem escape (sanitização). Como o atributo title sobrevive à sanitização do conteúdo pós-publicação aplicada aos usuários que não possuem a capacidade unfiltered_html, um usuário autenticado com acesso nível Autor pode armazenar uma carga útil JavaScript que será executada no navegador de qualquer visitante, incluindo administradores, ao clicar no link.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.